Такая слабость может быть использована для запуска целевых атак, которые отслеживают онлайн-активность пользователей, принудительно прерывают связь, перехватывают диалог между хостами или ухудшают гарантию конфиденциальности со стороны сетей анонимности, таких как Tor.Исследование, возглавляемое Юэ Цао, аспирантом факультета информатики инженерного колледжа Борнса UCR, будет представлено в среду (10 августа) на симпозиуме по безопасности USENIX в Остине, штат Техас. Консультант проекта — Чжиюнь Цянь, доцент кафедры информатики в UCR, чьи исследования сосредоточены на выявлении уязвимостей безопасности, чтобы помочь компаниям-разработчикам программного обеспечения улучшить свои системы.
Хотя большинство пользователей не взаимодействуют напрямую с операционной системой Linux, программное обеспечение работает незаметно на интернет-серверах, телефонах Android и ряде других устройств. Для передачи информации из одного источника в другой Linux и другие операционные системы используют протокол управления передачей (TCP) для упаковки и отправки данных и Интернет-протокол (IP), чтобы гарантировать, что информация попадает в правильное место назначения.
Например, когда два человека общаются по электронной почте, TCP собирает их сообщение в серию пакетов данных, идентифицируемых уникальными порядковыми номерами, которые передаются, принимаются и повторно собираются в исходное сообщение. Эти порядковые номера TCP полезны для злоумышленников, но с почти 4 миллиардами возможных последовательностей практически невозможно случайно идентифицировать порядковый номер, связанный с каким-либо конкретным обменом данными.Однако исследователи UCR не полагались на случайность. Вместо этого они выявили тонкий недостаток (в виде «побочных каналов») в программном обеспечении Linux, который позволяет злоумышленникам вывести порядковые номера TCP, связанные с конкретным соединением, не имея дополнительной информации, кроме IP-адресов взаимодействующих сторон.
Это означает, что при наличии двух произвольных машин в Интернете удаленный слепой злоумышленник, не имея возможности подслушивать общение, может отслеживать онлайн-активность пользователей, разрывать соединения с другими и вводить ложные материалы в их сообщения.
Зашифрованные соединения (например, HTTPS) невосприимчивы к инъекции данных, но они по-прежнему могут быть принудительно прерваны злоумышленником. Эта уязвимость позволит злоумышленникам ухудшить конфиденциальность анонимных сетей, таких как Tor, заставляя соединения маршрутизироваться через определенные ретрансляторы. Атака быстрая и надежная, часто занимает меньше минуты и показывает успешность около 90 процентов. Исследователи создали короткое видео (https://www.youtube.com/watch?v=S4Ns5wla9DY), показывающее, как работают атаки.
Цянь сказал, что в отличие от обычных кибератак, пользователи могут стать жертвами, не сделав ничего плохого, например, загрузив вредоносное ПО или щелкнув ссылку в фишинговом письме.«Уникальный аспект атаки, которую мы продемонстрировали, — это очень низкие требования к возможности ее проведения. По сути, это может легко сделать любой человек в мире, где атакующая машина находится в сети, которая допускает подмену IP. Необходимая информация — это пара IP-адресов (для клиента и сервера жертвы), которую довольно легко получить », — сказал Цянь.
Цянь сказал, что исследователи предупредили Linux об уязвимости, в результате чего к последней версии Linux были применены исправления. А пока Цянь рекомендует следующее временное исправление, которое можно применить как к клиентским, так и к серверным узлам. Он просто поднимает "предел ACK вызова" до чрезвычайно большого значения, чтобы сделать использование побочного канала практически невозможным.
Это можно сделать, например, в Ubuntu следующим образом:1. Откройте /etc/sysctl.conf, добавьте команду «/net.ipv4/tcp_challenge_ack_limit = 999999999.»2. Используйте «sysctl -p» для обновления конфигурации.
Этот документ под названием «Использование TCP вне маршрута: глобальный предел скорости считается опасным» доступен на веб-сайте лаборатории Qian (http://www.cs.ucr.edu/~zhiyunq/pub/sec16_TCP_pure_offpath.pdf). Помимо Цао и Цяня, в работе участвовали Чжунцзе Ван, Туан Дао и Шрикант В. Кришнамурти из Калифорнийского университета в Риверсайде, а также Лиза М. Марвел из Исследовательской лаборатории армии США.
Работа финансируется Исследовательской лабораторией армии (ARL Cyber Security CRA) и Национальным научным фондом в рамках гранта 1464410.